持っていない情報は、漏れない——「持たない」を仕組みにする、個人データの棚卸しと保存期間の決め方

このコラムは、「相次ぐ個人情報漏えいは「氷山の一角」かもしれない」から続く連載の4回目です。
第2回では「気づいて動ける」、第3回では「任せきりにしない」をお話ししました。
今回は、5つの視点の中でもっとも地味で、もっとも効く「持たない」についてです。

2026年9月下旬からの一連の事案では、1件で数百万件から1,000万件を超える規模の漏えいが続きました。
東京商工リサーチの集計では、2025年に上場企業とその子会社で漏えい・紛失した個人情報は3,063万人分で、前年の約2倍です。
事故の件数が増えたというより、一度に失われる情報の量が大きくなっているのが、いまの特徴です。

どれだけ対策をしても、侵入を完全に防ぐことは難しいものです。
けれども、持っていない情報は、漏れようがありません。
このコラムでは、個人情報保護委員会の資料をもとに、「持たない」ことがなぜ効くのか、そして棚卸しから消去までをどう仕組みにするかをまとめました。

「持たない」が、なぜ効くのか

個人情報保護法は、個人データを利用する必要がなくなったときは、遅滞なく消去するよう努めなければならないと定めています（第22条）。
「努めなければならない」という努力義務の形ですが、個人情報保護委員会は2026年10月7日の注意喚起で、利用目的を達成した場合や事業を中止した場合などは遅滞なく消去するよう努めること、そして保管している個人データが本当に必要かを、法令などの根拠とあわせて確認することを、改めて求めています。
多要素認証やログの保管と並んで、不要なデータの消去が挙げられている点に、注意喚起の意図が表れていると思います。

「持たない」が効く理由は、単純です。
漏えいしたときの影響は、おおむね「本人の数 × 情報の項目」で決まります。
本人の数が多ければ、報告や通知の件数が増え、問い合わせ対応や信頼の回復にかかる負担も大きくなります。
項目が多ければ、たとえば氏名とメールアドレスだけの漏えいと、本人確認書類の画像まで含む漏えいとでは、本人に及ぶ被害の深さが変わります。
最近の事案でも、本人確認書類の画像が大量に含まれていた例がありました。

紙の情報も同じです。
個人情報保護委員会に直接報告された漏えい等事案の76.9%は、紙媒体のみの漏えいです。
保存期間を過ぎた申込書や帳票をキャビネットに持ち続けていれば、誤交付や紛失の機会はそのぶん増えます。
持っている量を減らすことは、サイバー攻撃にも「うっかり」にも効く、数少ない対策です。

もう一つ、見落とされやすい点があります。
2022年4月以降、6か月以内に消去する短期保存のデータも「保有個人データ」として、開示や利用停止などの請求の対象になりました。
「どうせすぐ消すから」と管理の外に置いていた問い合わせフォームの履歴や、採用応募者のデータにも、本人からの請求に応える責任があります。
何を持っているかを把握していなければ、請求が来たときに答えられません。

「持たない」を仕組みにする4つのステップ

「不要なデータは消しましょう」と言われて、すぐに消せる会社は多くありません。
何を持っているか分からない、誰が決めてよいか分からない、消してよいか分からない。
この3つの「分からない」を解消する順番で、4つのステップに整理しました。

※個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」「データの消去に関する注意喚起」をもとに、当社で整理した進め方の一例です。

中でも、最初の一歩になるのは1の棚卸しです。

台帳にないデータは、守れないし、消せない。
支援の現場でよく見かけるのは、退職した社員や不採用になった応募者のデータが残っている、共有フォルダや個人のPC、メールの添付ファイルに古い名簿がある、委託先に渡したまま戻ってきていない、という状態です。
どれも、悪意があって残っているわけではありません。
「消してよい」と誰も決めていないから、残っているだけです。
棚卸しの目的は、「消してよい」を決める材料をそろえることにあります。

保存期間は、「決める」ことに意味がある。
法令で定められた期間がある書類は、それに従います。
それ以外の多くの個人データには、法令上の決まった期間はありません。
だからこそ、「契約終了から3年」「応募から1年」のように、自社で期限を決めて台帳と規程に書くことが、消去の根拠になります。
期限がなければ、消す判断は毎回、現場の誰かの勇気に委ねられてしまいます。

消すときは、復元できない方法で、記録を残す。
個人情報保護委員会は、利用の必要がなくなった個人データは復元不可能な手段で消去する必要があること、消去を外部に委託する場合は委託先への必要かつ適切な監督が必要であることを、注意喚起で示しています。
紙はシュレッダーや溶解処理で、電子データは消去の方法と日付を記録に残す。
廃棄を委託する場合は、第3回でお話しした委託先管理の対象です。

PマークやISMSを取得している企業には、この仕組みがすでにあるはずです。
Pマークの基準（JIS Q 15001）では、個人情報を特定して台帳で管理し、取得から廃棄までの各段階でルールを定めて運用することが求められます。
ISMS（ISO/IEC 27001）の附属書Aにも、情報資産の目録や、情報の削除に関する管理策が含まれています。
審査で指摘されやすいのは、台帳と実態がずれている、保存期間が「永久」や空欄のまま、廃棄の記録がない、という3つです。
仕組みがあるかどうかではなく、台帳が今年も更新され、期限が来たものが実際に消えているかを、この機会に確かめていただければと思います。

私たちUPFは、2009年からPマーク（プライバシーマーク）とISMS（ISO/IEC 27001）の取得・運用を支援してきました。
おかげさまで、支援実績は5,695社（2026年10月1日時点）となりました。
初めてUPFをご利用いただいたお客様が、次回の更新もUPFにご依頼くださる割合は95%（2020〜2026年平均）です。

社内にはプライバシーマーク（Pマーク）審査機関（JIPDEC）の現役審査員が在籍しています（自らがコンサルティングを担当する企業の審査は行いません）。
また、年間2,000件を超える審査関連の情報が社内に集まるため、個人情報の台帳や保存期間の決め方についても、審査で指摘されやすい点や、無理なく続く運用の形を、日々のご支援に活かしています。

「持たない」は、新しい機器もソフトウェアも要りません。
必要なのは、何を持っているかを知ることと、「消してよい」を決める仕組みだけです。
認証の取得をお手伝いするだけでなく、企業が「必要なものだけを持ち、不要なものは消せる」状態を、実務の面から一緒につくっていければと考えています。

よくある質問

Q. 不要になった個人データの消去は、法律上の義務ですか？
A. 個人情報保護法第22条は「遅滞なく消去するよう努めなければならない」という努力義務の形です。
ただし、個人情報保護委員会は注意喚起で繰り返し消去を求めており、不要なデータを持ち続けることは、安全管理のうえでリスクそのものです。
法令で保存期間が定められているものを除き、利用する必要がなくなった時点で消去する運用をおすすめします。

Q. 保存期間は、どのように決めればよいですか？
A. まず、法令で保存期間が定められているもの（労働者名簿や賃金台帳、会計帳簿など）を確認し、それに従います。
それ以外は、契約や業務上の必要性から「契約終了から○年」「応募から○年」のように自社で決め、台帳と社内規程に書きます。
本人に通知・公表している利用目的と矛盾しないかも、あわせて確認してください。

Q. 6か月以内に消すデータも、開示請求の対象になりますか？
A. はい。
2022年4月1日以降は、6か月以内に消去する短期保存のデータも「保有個人データ」として扱われ、開示や利用停止などの請求の対象です。
問い合わせフォームの履歴や採用応募者のデータも、台帳で把握しておく必要があります。

Q. バックアップに残っているデータは、どうすればよいですか？
A. バックアップを個別に編集して消すことは現実的ではないため、一定期間で上書き・消去される世代管理にしておき、消去済みのデータを復元した場合は再び消去する手順を決めておく、という運用が一般的です。
消去の範囲（本番データ、バックアップ、委託先に渡した分）をあらかじめ規程に書いておくことが大切です。

Q. 紙の書類は、どのように廃棄すればよいですか？
A. シュレッダーや溶解処理など、復元できない方法で廃棄し、廃棄した日付と対象を記録に残します。
廃棄を外部に委託する場合は、委託先への必要かつ適切な監督が求められます。
廃棄証明書を受け取り、保管しておくことをおすすめします。

Q. 個人情報の台帳づくりや保存期間の設計についても相談できますか？
A. はい。
個人情報の棚卸し、台帳の様式、保存期間の決め方、廃棄の手順と記録など、Pマーク・ISMSの取得・運用のご支援とあわせて承っています。
他社の支援で取得された企業からの「台帳が実態と合っていないので整えたい」というご相談もお受けしています。

株式会社UPFは、プライバシーマーク・ISMS（ISO/IEC 27001）などの認証の取得・運用支援を通じて、企業の情報管理を実務の面から支えています。
「個人情報の棚卸しから始めたい」「保存期間と廃棄のルールを整えたい」「取得した認証の運用を見直したい」といったご相談も承っております。
お気軽にお問い合わせください。

• プライバシーマーク（Pマーク）取得・運用支援の無料相談
• ISMS（ISO/IEC 27001）取得・運用支援の無料相談

数字の定義と根拠は「UPFの支援実績・継続率などの数字の定義と根拠」をご覧ください。